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Abstract 



A method and a device with which data can be programmed into a vehicle component are provided. It is 
proposed to keep available at a central office the data which it encodes upon request with a code that is 
specific to the vehicle component and transmits it to the requesting location, and decoding is performed only 
in the vehicle component itself. In this way, a high level of protection against unauthorized attempts to 
acquire data during transmission of this data to be programmed into the component is ensured. Suitable 
devices for working the method include direct connectability of the individual vehicle component to a 
programming device at the requesting location for direct programming, or alternatively, intermediate 
connection of an intermediate storage component. In this way, for example, mobility-limiting key 
programming can be achieved that is highly protected against manipulation. The method and device are 
usable in vehicles with an anti-theft protection system and for vehicle rental systems. 
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(54) Verfahren und Einrichtung zur Einprogrammierung von Betriebsdaten in Fahrzeugbauteiie 



(57) Die Erfindung bezieht sich auf ein Verfahren 
und eine Einrichtung, mit der Daten in ein Fahrzeugbau- 
teil einprogrammiert werden kOnnen. 

Es wird vorgeschlagen, die Daten bei einer Zen- 
trale (20) verfugbar zu haHen, welche sie auf Anforde- 
rung mit einem fahrzeugbauteilspezifischen Code 
codiert und an die anfordernde Stelle absendet, und die 
Decodierung erst im Fahrzeugbauteil (33) selbst vorzu- 
nehmen. Damit wird ein hoher Schutz wahrend der 
Ubertragung der in das Bauteil einzuprogrammierenden 
Daten vor unberechtigten Versuchen, in Kenntnis dieser 
Daten zu gelangen, gewahrleistet. Zur Verfahrens- 



durchfOhrung geeignete Einrichtungen beinhalten eine 
direkte AnschluBmOglichkeit des jeweiligen Fahrzeug- 
bauteils an ein Programmiergerat (3) bei der anfordern- 
den Stelle zwecks direkter Programmierung oder 
alternativ die Zwischenschaltung eines Zwischenspei- 
cherbauteils (35). Damit ist z.B. eine mobilitatsbegren- 
zende Schlusselprogrammierung hoch manipulations- 
geschQtzt realisierbar. 

Verwendung bei Fahrzeugen mit einem Diebstahl- 
schutzsystem und fur Fahrzeugvermietsysteme. 
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Beschreibung 

Die Erfindung bezieht sich auf ein Verfahren und 
eine Einrichtung zur Einprogrammierung von Daten in 
Fahrzeugbauteile, wobei diese Daten von dem jeweili- 
gen Fahrzeugbauteil benotigt werden, wenn dieses in 
dem betreffenden Fahrzeug in einer gewunschten, ord- 
nungsgemaBen Weise in Betrieb gehen soil. Das Ver- 
fahren und die Einrichtung eignen sich insbesondere 
dazu, Fahrzeugersatzteile zu dem Zeitpunkt mit den 
erforder lichen fahrzeugbezogenen Daten zu versorgen, 
zu dem ihr Einsatz in einem bestimmten Fahrzeug 
beabsichtigt ist. Von besonderem Interesse sind vorlie- 
gend geheime Daten, die Teil eines Fahrzeugdiebstahl- 
schutzsystems sind. Der Begriff Fahrzeugbauteil ist 
vorliegend in einem weiten Sinn dahingehend zu ver- 
stehen, daB davon neben test im Fahrzeug eingebauten 
Bauteilen auch andere fahrzeugbezogene Bauteile, ins- 
besondere FahrzeugschlOssel, umfaBt sind. 

Urn einen komfortablen, moglichst weltweiten Ser- 
vice fur Kraftfahrzeuge zur Verfugung zu stellen, ist die 
schnelle, mbglichst weltweite Versorgung mit Fahrzeug- 
bauteilen, insbesondere Ersatzteilen, eine wichtige Auf- 
gabe. Neben der Versorgung entsprechender 
Servicestellen mit der erforderlichen Fahrzeugbauteil- 
Hardware ergibt sich eine weitere Aufgabe im Zusam- 
menhang mit Bauteilen, bei denen es sich urn elektroni- 
sche Fahrzeugkomponenten handelt, die fur einen 
ordnungsgemaBen Betrieb fahrzeugspezifische Daten 
enthalten mussen. Urn eine schnelle Lieferfahigkeit zu 
gewahrleisten, bietet sich die Einprogrammierung der 
erforderlichen Daten in solche Fahrzeugbauteile vor Ort 
an. Dabei werden die fahrzeugbezogenen Daten von 
einer jeweiligen Servicestelle bei einer Zentrale ange- 
fordert und von letzterer uber eine Datenubertra- 
gungstrecke, z.B. ein Telefonverbindungsnetz, ein 
allgemeines Oder individuelles Datennetz, Oder einen 
Datentragertransport, an die Servicestelle ubermittelt, 
urn dort mit Hilfe einer geeigneten Elektronik in das 
betreffende Fahrzeugbauteil eingespeist zu werden. 

Diese Vorgehensweise ist ohne Schwierigkeit ein- 
setzbar, solange die zu ubertragenden Daten nicht 
geheim sind. Handelt es sich jedoch urn geheime 
Daten, wie sie insbesondere fur Komponenten eines 
Fahrzeug-Diebstahlschutzsystems benotigt werden, so 
soli es Unberechtigten nicht moglich sein, in Kenntnis 
dieser Daten zu gelangen. Herkommlicherweise bietet 
sich daher die Technikder Codierung, d.h. Verschlusse- 
lung, dieser Daten mit einem symmetrischen oder 
asymmetrischen Codierverfahren an, wie sie in der 
Kryptografie gelaufig sind. Dabei werden die zu Qbertra- 
genden Daten in der Zentrale codiert und abgesendet. 
In der jeweiligen Servicestelle werden die gesendeten, 
codierten Daten empfangen und in einem Endgerat, 
z.B. einem PC, decodiert und dann mittels eines nach- 
geschalteten Programmiergerates in das betreffende 
Fahrzeugbauteil eingespeist. Dieses Verfahren gewahr- 
leistet, daB die Daten wahrend ihrer Ubertragung auf 
der Datenubertragungsstrecke zwischen Zentrale und 



Servicestelle gegen unbefugte Versuche, Kenntnis von 
diesen Daten zu erlangen, geschutzt sind. Es besteht 
aber das Problem, daB diese Daten in der Servicestelle 
selbst zwischen dem decodierenden Endgerat und dem 

5 zu programmierenden Fahrzeugteil offen, d.h. im deco- 
dierten Zustand, zutage treten. Ein Ausspahen nach 
solchen geheimen Dateninformationen in diesem 
Datentransferabschnrtt kann daher einen Unberechtig- 
ten eventuell in die Lage versetzen, das Diebstahl- 

w schutzsystem des Fahrzeugs zu uberwinden. 
Beispielsweise kann ein Abhoren entsprechender, sich 
auf das Diebstahlschutzsystem des Fahrzeugs bezie- 
hender Daten wahrend einer Einprogrammierung der- 
selben in einen Ersatzschlussel dazu benutzt werden, 

75 anschlieBend mit diesen abgehorten Daten unbefugter- 
weise weitere Schlusselduplikate anzufertigen. 

In der Offenlegungsschrift DE 43 34 859 A1 ist eine 
Einrichtung beschrieben, die sich unter anderem zum 
Einprogrammieren von Daten in elektronische Steuer- 

20 gerate von Kraftfahrzeugen eignet, insbesondere zur 
ausstattungs-Zfahrzeugspezifischen Programmierung 
der Steuergeratebeim Fahrzeughersteller. Dazu enthalt 
diese Einrichtung ein fahrzeugexternes, mobiles Pro- 
grammiergerat, mit dem die einzuprogrammierenden 

25 Daten uber eine drahtlose Ubertragungsstrecke zu 
einem kommunikationsfahigen Steuergerat im Fahr- 
zeug Obertragen werden konnen, das die Daten an das 
anzusprechende Steuergerat weiterleitet. 

In der Offenlegungsschrift DE 41 23 666 A1 ist ein 

30 Sicherheitssystem fur mobile Fahrzeugbauteile 
beschrieben, das eine zentrale Datenbank beim Her- 
steller, ein jeweiliges Systemsteuerzentrum bei den Ver- 
tragshandlern sowie fahrzeugseitig eine Zentraleinheit 
und eine Oder mehrere, den beteiligten Fahrzeugbautei- 

35 len zugeordnete Kompbnentensteuereinheiten umfaBt. 
Ein in der zentralen Datenbank abgelegter Werkscode 
wird herstellersertig in die beteiligten Fahrzeugbauteile 
eingegeben und kann wahrend deren Lebensdauer 
nicht geandert sowie von den Systemsteuerzentren 

40 nicht ausgelesen werden. Das jeweilige Systemsteuer- 
zentum kann Daten in die fahrzeugseitige Zentraleinheit 
eingeben und von dieser erhaltene Informationen mit 
denjenigen vergleichen, die sie von der zentralen 
Datenbank abrufen kann. Die zentrale Datenbank kann 

45 Informationen, die sie von dem jeweiligen Systemsteu- 
erzentrum erhalt, wie autorisierende Codeanderungen 
in der fahrzeugseitigen Zentraleinheit Oder der jeweili- 
gen Komponentensteuereinheit, korellieren und damit 
eine Bestandsfuhrung unterhalten. Bei Auswechslung 

so eines solchermaBen geschutzten Fahrzeugbauteils 
wird dessen individueller Code von der Datenbank in 
die fahrzeugseitige Zentraleinheit eingegeben. 

Der Erfindung liegt als technisches Problem die 
Bereitstellung eines Veriahrens und einer Einrichtung 

55 der eingangs genannten Art zugrunde, mit denen das 
Einprogrammieren von Daten in ein Fahrzeugbauteil 
zuverlassig vor unberechtigten Versuchen, in Kenntnis 
dieser Betriebsdaten zu gelangen, geschutzt ist. 

Dieses Problem wird durch ein Verfahren mit den 
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Merkmalen des Anspruchs 1 sowie durch eine Einrich- 
tung mit den Merkmalen des Anspruchs 8 oder 9 gelOst. 
Die Gefahr, daG sich ein Unberechtigter die Kenntnis 
uber die von der Zentrale abgesandten, in das jeweiis 
zu programmierende Fahrzeugbauteil einzuspeisende 
Dateninformation verschaffen kann, wird dadurch mini- 
miert, daG die Decodierung der zu ubertragenden 
Daten erst in dem mit diesen Daten zu programmieren- 
den Fahrzeugbauteil erfolgt Das Verfahren und die Ein- 
richtung kOnnen insbesondere dazu benutzt werden, 
Ersatzteile durch Einprogrammierung entsprechender 
fahrzeugbezogener Daten fur ein bestimrrrtes Fahrzeug 
betriebsfahig zu machen. Des weiteren kOnnen sie zur 
Durchfuhrung von Sonderfunktionen in Fahrzeugbautei- 
len benutzt werden, z.B. zum Sperren oder Freigeben 
elektronischer Schlussel fur ein bestimrrrtes Fahrzeug. 
Als weiterer Anwendungsfall kann das Vorbereiten 
eines Fahrzeugbauteils fOr den anschliefBenden Betrieb 
in einem bestimmten Fahrzeug durch Einprogrammie- 
rung entsprechender Daten auch darin bestehen, den 
anschlieBenden Betrieb des Bauteils und damit des 
Fahrzeugs nur in einem begrenzten Umfang freizuge- 
ben, z.B. fur eine begrenzte Anzahl von Motorstarts, 
eine begrenzte Laufleistung, eine begrenzte Zeitdauer 
oder nur innerhalb eines begrenzten geografischen 
Bereichs. Eine weitere Einsatzm&glichkeit liegt im 
Bereich der Fahrzeug-Vermietung, bei der unterschied- 
liche Fahrzeuge an einem oder mehreren unterschiedli- 
chen Standorten den Systemnutzern zur kurz- oder 
tangerfristigen Nutzung zur Verfugung gestellt werden. 
In den beiden letztgenannten Anwendungen kann es 
zweckmaGig sein, Datensatze fur eine bestimmte Fahr- 
zeuggruppe aus einer Qbergeordneten Zentrale, die 
sich z.B. beim Fahrzeughersteller befindet, in eine 
untergeordnete, lokale Zentrale auszulagern, die sich 
z.B. bei einer Autovermietstation oder einem Leasing- 
unternehmen befindet. 

In einer Weiterbildung des erfindungsgemaGen 
Verfahrens ist nach Anspruch 2 zur Anforderung der 
Daten bei der Zentrale die Identitat des Fahrzeugs und 
des zu programmierenden Fahrzeugbauteils sowie des 
anfordernden Systemnutzers zu ubermitteln, so daG die 
Zentrale die Berechtigung der Anforderung uberpriifen 
und die richtigen Daten fur das zu programmierende 
Fahrzeugbauteil codieren und absenden kann. Zudem 
ist die Zentrale automatisch uber die fur ein jeweiliges 
Fahrzeug gerade verwendeten Komponenten infor- 
miert. Zur Durchfuhrung dieses Verfahrens eignet sich 
insbesondere die Einrichtung gemaG Anspruch 10. 

In einer Weiterbildung des erfindungsgemaGen 
Verfahrens erfolgt nach Anspruch 3 die Einspeisung der 
codierten Daten vom Programmiergerat der jeweiligen 
Servicestelle direkt in ein zu diesem Zweck an das Pro- 
grammiergerat angeschlossenes Fahrzeugbauteil. Zur 
Durchfuhrung dieses Verfahrens eignet sich insbeson- 
dere die Einrichtung gemaG Anspruch 8. 

Eine Weiterbildung des erfindungsgemaGen Ver- 
fahrens nach Anspruch 4 realisiert eine indirekte Ein- 
programmierung der in der Servicestelle empfangenen, 



codierten Daten vom Programmiergerat Qber ein Zwi- 
schenspeicherbauteil in das zu programmierende Fahr- 
zeugbauteil. Hierbei werden die Daten in der Zentrale 
doppelt codiert und nach Empfang durch die anfor- 

5 dernde Stelle zunachst vom dortigen Programmiergerat 
in das angeschlossene Zwischenspeicherbauteil einge- 
speist und dort einmal decodiert und zwischengespei- 
chert. AnschlieGend wird das Zwischenspeicherbauteil, 
vorzugsweise unter Abkopplung vom Programmierge- 

w rat, uber eine entsprechende AnschluGschnittstelle an 
ein fahrzeugseitiges Datenubertragungssystem, z.B. 
ein CAN-System oder ein Diagnoseleitungssystem, 
angekoppett, wonach die zwischengespeicherten 
Daten uber das fahrzeugseitige Datenubertragungssy- 

15 stem in das zu programmierende Fahrzeugbauteil ein- 
gespeist und dort vollends decodiert werden. Diese 
Vorgehensweise hat den Vorteil, daG fur die verschiede- 
nen, zu programmierenden Fahrzeugbauteile nicht 
jeweiis spezielle Adapter zum AnschlieGen an das Pro- 

20 grammiergerat benOtigt werden. Dabei kann es sich bei 
dem Zwischenspeicherbauteil selbst ebenfalls urn ein 
Fahrzeugbauteil handeln, z.B. einen elektronischen 
Schlussel, der als Sonderschlussel zur zusatzlichen 
Erfullung der Zwischenspeicherfunktion ausgelegt ist. 

25 Zur Durchfuhrung dieses Verfahrens eignet sich insbe- 
sondere die Einrichtung gemaG Anspruch 9. 

Ein nach Anspruch 5 weitergebildetes Verfahren 
eignet sich insbesondere fur Fahrzeugvermietungssy- 
steme, bei denen die MOglichkeit bestehen soil, 

30 bestimmten Kunden bestimmte Fahrzeuge beispiels- 
weise zeitlich oder raumlich nutzungsbegrenzt zur Ver- 
fugung stellen zu ktinnen. Durch teste Zuordnung eines 
Schlussels fur einen jeweiligen Kunden kann dieser 
gegenuber der vermietenden Zentrale als Identitats- 

35 nachweis verwendet werden. Die Zentrale kann dann in 
kundenspezrf ischer Weise Daten in den Schlussel uber- 
tragen, die neben der Nutzungsberechtigung fur das 
gewunschte Fahrzeug auch die jeweilige Mobil itatsbe- 
grenzung beinhalten, wodurch der Kunde das zum 

40 Schlussel gehorige Fahrzeug beispielsweise nur fur 
eine vorgegebenen Zeitdauer, eine vorgegebene Ent- 
fernung oder eine vorgegebene Anzahl von Motorstarts 
verwenden kann. Dabei kann sowohl die Ubermittlung 
der Kennzeichnungsnummer an die Zentrale als auch 

45 die Ubermittlung der Mobil rtatsbegrenzungsiriformation 
zuruck zum anfordernden Schlussel oder Zwischen- 
speicherbauteil codegeschutzt erfolgen. 

Ein nach Anspruch 6 weitergebildetes Verfahren 
bewirkt eine Mobil itatsbegrenzung fur ein Fahrzeug 

so dadurch, daG der zugehdrige Fahrzeugschlussel von 
der Zentrale mit einem Datensatz programmiert wird, 
der nur eine vorgebbare Anzahl von Nutzungsberechti- 
gungsfreigabeaktionen durch den Schlussel zulaGt. Mit 
dieser MaGnahme kann eine vorteil hafte Fahrzeugkurz- 

55 zeitvermietung mit geringem Unterschlagungsrisiko 
realisiert werden. Zur Durchfuhrung dieses Verfahrens 
eignet sich besonders eine Einrichtung nach Anspruch 
11, bei welcher die entsprechenden, mobilitatsbegren- 
zenden Fahrberechtigungsdaten von einer Zentrale, 
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z.B. einer Vermietstation, die uber ein SchlQsselverwal- 
tungsmodu! zur Verwaltung der elektronischen Schlus- 
sel aller beteiligten Fahrzeuge verfugt, uber eine 
fahrzeugsertige Oder eine ortsfeste, z.B. in einem jewei- 
ligen Haltestellenautomat untergebrachte Schlusselpro- 
grammierungseinheit in den Schlussel einprogrammiert 
werden. 

Eine weitere Ausgestaltung nach Anspruch 7 sieht 
vor, daft die Anzaht jeweiis durchgefuhrter Nutzungsbe- 
rechtigungsfreigabeaktionen fahrzeugseitig erfaBt und 
rechtzeitig vor Erreichen der vorgegebenen Anzahl 
zugelassener Freigabeaktionen eine Anforderung an 
die Zentrale zur Obersendung eines weiteren Datensat- 
zes zwecks Einprogrammierung in den Fahrzeug- 
schlussel ubermittelt wird, um die Nutzungs- 
berechtigung fur das Fahrzeug durch den Schlussel luk- 
kenlos fur einen weiteren Satz von Freigabeaktionen zu 
erm6glichen. Dabei wird der neue Datensatz von der 
Zentrale nur dann gesendet, wenn ihr bis dahin keine 
diesbezugliche Sperrmeldung vorliegt. Zur Durchfuh- 
rung dieses Verfahrens eignet sich eine Einrichtung mit 
den Merkmalen des Anspruchs 12. Mit dieser MaB- 
nahme laBt sich die Gefahr eines Diebstahls des Fahr- 
zeugs gering halten, da ein entwendetes Fahrzeug nur 
noch fur eine begrenzte Anzahl von Fahrzeugstarts 
bzw. AnsteuerungsvorgSngen einer mit dem Schlussel 
angesteuerten TurschlieBanlage verwendbar ist. 

Bevorzugte Ausfuhrungsformen der Erf indung sind 
in den Zeichnungen dargestellt und werden nachfol- 
gend beschrieben. Hierbei zeigen: 

Fig. 1 ein schematisches Blockdiagramm einer 
Einrichtung zur Einprogrammierung von 
fahrzeugbezogenen Daten in ein jeweiliges 
Fahrzeugbauteil mit direkter Dateneinpro- 
grammierung, 

Fig. 2 ein schematisches Blockdiagramm einer 
Einrichtung zur Einprogrammierung von 
fahrzeugbezogenen Daten in ein jeweiliges 
Fahrzeugbauteil mit indirektem Einprogram- 
mierungsvorgang uber ein Zwischenspei- 
cherbauteil, 

Fig. 3 ein schematisches Blockdiagramm eines 
Systems zur Fahrzeugkurzzertvermietung, 

Fig. 4 ein schematisches Blockdiagramm eines 
Fahrzeugvermietsystems mit Haltestellenau- 
tomaten, 

Fig. 5 ein schematisches Blockdiagramm eines 
unterschlagungsgeschutzten Fahrzeugver- 
mietsystems mit direkter Fahrzeugubergabe 
und 

Fig. 6 ein schematisches Blockdiagramm eines 
fremdnutzungsgeschutzten Fahrzeugsy- 
stems fur Privatnutzung. 



Anhand von Fig. 1 wird nachfolgend ein erstes Ver- 
fahren und die zu dessen Durchfuhrung vorgesehene 
Einrichtung zur Einprogrammierung von fahrzeugbezo- 
genen Daten in ein Fahrzeugbauteil, vorliegend bei- 

5 spielhaft in einen Ersatzschlussel, beschrieben. Die 
verfahrensdurchfuhrende Einrichtung ist in Fig. 1 in 
Blockdiagrammform dargestellt. Eine jeweilige Service- 
stelle (1), z.B. eine Werkstatt, steht Ober eine Daten- 
ubertragungsstrecke (10), z.B. eine Telefonleitung, mit 

;o einer raumlich entfernten Zentrale (20), die sich bei- 
spielsweise beim Fahrzeughersteller befindet, in Daten- 
austauschverbindung. In der Servicestelle (1) soli als 
Fahrzeugbauteil beispielhaft ein Ersatzschlussel (4) mit 
geheimen kryptografischen Daten versorgt werden, 

15 damit er fur ein ganz bestimmtes Kundenfahrzeug ein- 
gesetzt werden kann, das uber ein Diebstahlschutzsy- 
stem verfugt, bei dem Nutzungsberechtigungsdaten 
mittels eines entsprechenden kryptografischen Verfah- 
rens codiert, d.h. verschlusselt, zwischen Schlussel- 

20 seite und Fahrzeugseite ausgetauscht werden. 
Derartige, kryptografisch gesicherte Methoden des 
Datenaustauschs zwischen Schlusselseite und Fahr- 
zeugseite zwecks PrOfung der Fahrzeugnutzungsbe- 
rechtigung sind beispielsweise in den Patentschriften 

25 DE 44 1 1 449 C1 , DE 44 1 1 450 C1 und DE 44 1 1 451 
C1 beschrieben, worauf hier verwiesen werden kann. 

Zur Einprogrammierung dieser fahrzeugbezogenen 
Daten, bei denen es sich vorliegend speziell um Daten 
handelt, die fOr das Diebstahlschutzsystem des betref- 

30 fenden Fahrzeugs relevant sind, wird zunSchst eine ent- 
sprechende Datenanforderung von der Servicestelle (1) 
uber die Telefonleitung (10) an die Zentrale (20) uber- 
mittelt. Dazu werden in der Servicestelle (1) die folgen- 
den vier Dateninformationen in ein dort vorhandenes 

35 Endgerat (2), das uber einen Bildschirm und eine Tasta- 
tur verfugt, eingegeben und uber die Telefonleitung (10) 
an die Zentrale (20) geschickt, wie jeweiis durch eine 
separate, gerichtete Linie (11 bis 14) symbolisiert. Eine 
erste Dateninformation (11) betrifft die Art der auszu- 

40 fuhrenden Operation, hier die Information uber eine 
ErsatzschlOsselprogrammierung. Diese Information 
wird in der Zentrale (20) einem Steuerwerk (23) zuge- 
fuhrt, welche die ubrigen, am Verfahren beteiligten 
Komponenten der Zentrale (20) jeweiis in der fur die 

45 Durchfuhrung der auszufuhrenden Operation geeigne- 
ten Weise ansteuert, wie mit der gestrichelten, gerichte- 
ten Linie (16) symbolisiert. Als zweite Dateninformation 

(12) ist eine Kennzeichnungsnummer fur das betref- 
fende Fahrzeug, z.B. eine Fahrzeug identifikationsnum- 

50 mer, anzugeben. Analog ist als dritte Dateninformation 

(13) eine Kennzeichnungsnummer fur den Ersatz- 
schlussel (4), z.B. eine Seriennummer desselben, mit- 
zuteilen. Diese ist vorliegend in einem elektronischen 
Speicher (5) desselben abgelegt, aus dem sie uber ein 

55 Programmiergerat (3), an welches der Ersatzschlussel 
(4) in der Servicestelle (1) wahrend des gesamten Vor- 
gangs angeschlossen ist, in das Endgerat (2) zur Wei- 
terleitung an die Zentrale (20) ausgelesen werden kann. 
Alternativ ist auch das Anbringen der Kennzeichnungs- 
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nummer auf einem AufWeber des Ersatzschlussels (4) 
moglich, von dem sie dann abgelesen und uber die 
Tastatur in das Endgerat (2) eingegeben wird. SchlieB- 
Itch hat der das Endgerat bedienende Bearbeiter eine 
Berechtigungs- und Identitatsnachweisinformation als 
vierte Dateninformation (14) an die Zentrale (20) zu 
ubermttteln. 

Die drei letztgenannten Dateninformationen (12, 
13, 14) fur eine Anforderung fahrzeugbezogener Daten 
fur den Ersatzschlussel (4) werden einer PrOfeinheit 
(24) der Zentrale (20) zugefuhrt, welche sie mindestens 
daraufhin pruft, ob die Anforderung von einer berechtig- 
ten Stelle kommt, ob das betreffende Fahrzeug nicht ais 
gestohlen gemeldet ist, ob der mit den fahrzeugbezoge- 
nen Daten zu programmierende Ersatzschlussel (4) 
nicht als gestohlen gemeldet ist und ob der zu program- 
mierende Ersatzschlussel (4) rechtmaBig an die vorlie- 
gende Servicestelle (1) geliefert worden ist. Wird diese 
Prufung in alien vier Punkten bestanden, so wird zum 
einen die Information (12) uber die Fahrzeug-Kenn- 
zeichnungsnummer an eine Datenbank (21) fur fahr- 
zeugbezogene Daten in der Zentrale (20) 
weitergegeben. In dieser Datenbank (21) ist fur jedes 
vom Hersteller produzierte Fahrzeug ein Datensatz mit 
alien Daten gespeichert, die das Diebstahlschutzsy- 
stem des Fahrzeugs betreffen. Aus dieser Datenbank 

(21) konnen die gewunschten, geheimen Daten (18) fOr 
den Ersatzschlussel (4) ausgelesen werden. Zum ande- 
ren wird die Information (13) uber die Ersatzschlussel- 
Kennzeichnungsnummer an eine Ersatzteil -Datenbank 

(22) weitergeleitet. In dieser Ersatzteil- Datenbank (22) 
ist fur jedes Fahrzeugbauteil, in das fahrzeugbezogene 
Daten einprogrammierbar sind, ein individueller, gehei- 
mer Codierwert in einem zugehOrigen Speicher (26) 
abgelegt. Korrespondierend dazu wird wahrend der 
Produktion des jeweiligen Ersatzteils, d.h. hier des 
Ersatzschlussels (4), bei Verwendung eines symmetri- 
schen Codierverfahrens derselbe geheime Codierwert 
bzw. bei Verwendung eines asymmetrischen Codierver- 
fahrens ein zugeordneter geheimer Codierwert im 
Ersatzteil (4) abgelegt. 

Die von der Datenbank (21) fur fahrzeugbezogene 
Daten ausgegebenen Daten werden (18) ebenso wie 
der von der Ersatzteil-Datenbank (22) ausgegebene, 
spezielle, nur fur den betreffenden Ersatzschlussel (4) 
gGrtige, geheime Codierwert (19) einem Codierer (25) 
zugefuhrt. Dieser Codierer (25) codiert die zu ubermit- 
telnden, fahrzeugbezogenen Daten mit Hilfe des gehei- 
men Ersatzteil-Codierwertes nach einem herkOmm- 
lichen symmetrischen Oder asymmetrischen Verschlus- 
selungsverfahren und ubertragt die solchermaflen 
codierten, fahrzeugbezogen Daten (15) uber die Tele- 
fonverbindung (10) an die Servicestelle (1). Dort gelan- 
gen die codierten, fahrzeugbezogenen Daten (15) vom 
Endgerat (2) uber eine geeignete Schnittstelle in das 
Programmiergerat (3), in das der zu programmierende 
Ersatzschlussel (4) eingelegt ist. Im Programmiergerat 
(3) werden jedoch lediglich Datenprotokollanpassungen 
vorgenommen und die Daten gegebenenfalls auf ein 



anderes Medium zur Weiterleitung umgesetzt, also bei- 
spielsweise von elektrischen Signalen auf Infrarotsi- 
gnale. 

Auf diese Weise kann der Ersatzschlussel (4) vor- 

s teilhaft uber dieselben Sende-/Empfangskanaie pro- 
grammiert werden, uber die er im spateren aktiven 
Betrieb mit den fahrzeugseitigen Einrichtungen, bei- 
spielsweise einem ZundschloB mit elektronischen 
Funktionen, kommuniziert. Diese Ersatzschlussel- 

w ZundschloB-Datenkommunikation umfaBt insbeson- 
dere den fur das Diebstahlschutzsystem erforderlichen 
Datenaustausch zur Prufung der Berechtigung des 
Ersatzschlussels fur das betreffende Fahrzeug. Folglich 
ist nicht unbedingt eine eigenstandige Schnittstelle fur 

is die Einprogrammierung der fahrzeugbezogenen Daten 
in den Ersatzschlussel (4) erforderlich. Zudem kann das 
Programmiergerat (3) in diesem Fall sehr einfach aus- 
gefuhrt sein, indem es lediglich dieselbe Schnittstelle 
aufweisen muB wie die im aktiven Betrieb mit dem 

20 Ersatzschlussel (4) kommunizierende Einheit, also bei- 
spielsweise das ZundschloB. Wie bereits angedeutet, 
findet im Programmiergerat (3) selbst keine Decodie- 
rung der codierten, fahrzeugbezogenen Daten statt. 
Vielmehr werden diese Daten erst im Ersatzschlussel 

25 (4) selbst, vorzugsweise innerhalb eines Microprozes- 
sors desselben, mittels eines Decodierers (6) unter 
Zuhilfenahme des in einem zugehOrigen Speicher (7) 
im Ersatzschlussel (4) abgelegten, geheimen Codier- 
werts decodiert und als decodierte Daten (17) in einem 

30 Datenspeicher (8) abgelegt. Danach liegen die fahr- 
zeugbezogenen Daten im Ersatzschlussel (4) in nutz- 
barer, uncodierter Form vor, was den Ersatzschlussel 
(4) nunmehr fur das betreffende Fahrzeug voll funkti- 
onsfahig macht, insbesondere auch hinsichtlich seiner 

35 Funktion innerhalb des Diebstahlschutzsystems des 
Fahrzeugs. 

Ein besonderer Vorteil des beschriebenen Verfah- 
rens zur Einprogrammierung der fahrzeugbezogenen 
Daten in den Ersatzschlussel (4) besteht darin, daB die 

40 Daten an keiner Stelle auBerhalb der Zentrale (20) 
offen, d.h. in decodierter Form, zutage treten. Vielmehr 
sind die fahrzeugbezogenen Daten auf dem gesamten 
Ubermittlungsweg zwischen Zentrale (20) und Ersatz- 
schlussel (4) mit dem geheimen, individuellen Ersatz - 

45 teil-Codierwert codiert. Dies schutzt sehr zuveriassig 
vor unberechtigten Versuchen, in Kenntnis dieser fahr- 
zeugbezogenen Daten zur unbefugten Programmie- 
rung anderer Ersatzschlussel zu gelangen. Die 
unbefugte Anfertigung solcher Schliisselduplikate bzw. 

so von Duplikaten anderer Fahrzeugbauteile wird weiter 
dadurch verhindert, daB der von der Zentrale (20) abge- 
schickte Satz fahrzeugbezogener Daten aufgrund der 
Verwendung des individuellen Ersatzteil-Codierwertes 
nur fur das eine, in der Anforderung an die Zentrale (20) 

55 angegebene Fahrzeugbauteil (4) zur erfolgreichen Ein- 
programmierung benutzt werden kann. 

Das obige Verfahren eignet sich problemlos fur sol- 
che zu programmierenden Fahrzeugbauteile, die, wie 
der Ersatzschlussel (4), direkt in das Programmiergerat 
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(3) eingelegt Oder an dieses angeschlossen werden 
kflnnen und uber ihre vorhandenen Schnittstellen mit 
diesem kommunizieren. Da diese Schnittstellen fur die 
verschiedenen programmierbaren Fahrzeugbauteile 
angepaBt an deren jeweilige Bedurfnisse unterschied- 
lich ausgelegt sind, wird bei dieser Vorgehensweise im 
allgemeinen fur jedes Bauteil bzw. Ersatzteil ein spezi- 
eller Adapter for das Programmiergerat benOtigt. 

Bei einer Vorgehensweise, wie sie mit der in Fig. 2 
gezeigten Einrichtung mOglich ist, ist die Bereitstellung 
einer solchen Mehrzahl spezieller Adapter nicht erfor- 
derlich. Bei dieser nachfolgend eriauterten Einrichtung, 
bei der fur funktionell gleiche Elemente wie fur die Ein- 
richtung von Rg. 1 gleiche Bezugszeichen gewahlt 
sind, dient nur eine ausgewahlte Komponente (35) fur 
die direkte Programmierung am Programmiergerat (3). 
so daB das Programmiergerat (3) nur mit einer einzi- 
gen, passenden Schnittstelle fur diese Komponente 
(35) auszustatten ist. Nur diese eine Komponente (35) 
nimmt dann bei diesem Verfahren einer indirekten Fahr- 
zeugbauteilprogrammierung die von der Zentrale (20) 
ubertragenen, codierten, fahrzeugbezogenen Daten 
auf und gibt sie danach in einem davon unabhangigen, 
getrennten Vorgang an ein tatsachlich zu programmie- 
rendes Fahrzeugbauteil (33) weiter. Die zum Anschlie- 
Ben an das Programmiergerat (3) bestimmte 
Komponente (35) ist so ausgewahlt, daB sie in einfa- 
cher Weise mit alien gegebenenfalls zu programmieren- 
den Fahrzeugbauteilen in Datenubertragungs- 
verbindung gebracht werden kann. 

Die Komponente (35) kann dabei ein spezielles, im 
Fahrzeug an sich nicht vorkommendes Bauteil sein, das 
so gebaut ist, daB es in jedem Fahrzeug leicht an ein 
vorhandenes Datenbussystem oder eine Diagnoselei- 
tung angeschlossen werden kann, urn die Dateninfor- 
mation, die sie vom Programmiergerat (3) aufge- 
nommen hat, an das eigentlich zu programmierende 
Fahrzeugbauteil (33) abzugeben, das an dieses Bussy- 
stem bzw. an diese Diagnoseleitung angeschlossen ist. 
Alternativ wird bevorzugt fur diese als Zwischenspei- 
cherbauteil zur Zwischenspeicherung der codierten, 
fahrzeugbezogenen Daten fungierende Komponente 
(35) ein ohnehin fur die Fahrzeuge bestimmtes Bauteil 
gewahlt. Speziell dient im Beispiel der Fig. 2 ein JO r das 
Fahrzeug passender elektronischer Ersatzschiussel 
(35) als dieses Zwischenspeicherbauteil. Fur den Pro- 
grammiervorgang ist dann der Fall, daB der als Zwi- 
schenspeicherbauteil fungierende Ersatzschiussel (35) 
selbst programmiert werden soil, von demjenigen, daB 
ein anderes Fahrzeugbauteil programmiert werden soil, 
zu unterscheiden. Im ersten Fall wird genau wie oben 
bezuglich der Einrichtung von Fig. 1 beschrieben vorge- 
gangen. Der Ersatzschiussel (35) ist dabei als das zu 
programmierende Ersatzteil direkt an das Programmier- 
gerat (3) innerhalb der Servicestelle (1) angeschlossen. 
Im anderen Fall der Programmierung eines anderen 
Fahrzeugbauteils (33), welches fur den weiteren Betrieb 
mit dem Fahrzeug geheime kryptografische Daten 
erhalten soil, fungiert der ausgewahlte Ersatzschiussel 



(35) lediglich als Zwischenspeicherbauteil, d.h. als 
Datentrager, wobei ihm die fahrzeugbezogenen Daten 
vom Programmiergerat (3) zugefuhrt werden und es 
diese in einem nachfolgenden Vorgang an das eigent- 
5 lich zu programmierende Fahrzeugbauteil (33), das sich 
in dem betreffenden Fahrzeug (30) befindet, abgibt. 
Aufgrund dieser Zusatzfunktion wird der ausgewahlte 
Ersatzschiussel (35) nachfolgend als SonderschlOssel 
bezeichnet. 

w Anhand von Fig. 2 wird nachfolgend die Vorgehens- 
weise fur diese indirekte Programmierung eines Ersatz - 
teils (33) des Diebstahlschutzsystems in dem 
betreffenden Fahrzeug (30) unter Verwendung des Son- 
derschlussels (35) naher eriautert. Der SonderschlQs- 

15 sel (35) ist vorzugsweise baugleich mit dem 
Ersatzschiussel (4) gemaB Fig. 1 . Als Informationen fur 
eine Anforderung fahrzeugbezogener Daten werden 
der Zentrale (20) uber die Telefonverbindung (10) wie- 
derum eine Information uber die Art der auszufGhren- 

20 den Operation (11), hier z.B. uber eine Ersatz- 
teilprogrammierung, eine Information (12) uber die 
Fahrzeug-Kennzeichnungsnummer, eine Information 
(13") uber die Kennzeichnungsnummer, z.B. die Serien- 
nummer, des zu programmierenden Ersatzteils (33), die 

25 vorzugsweise durch Ablesen von einem am Ersatzteil 
(33) angebrachten Auf Weber (42) und Eingeben in das 
Endgerat (2) an der Servicestelle (1) dem System 
bekannt gemacht wird, eine Information (14) als 
Berechtigungs- und Identitatsnachweis des Bearbei- 

30 ters, z.B. in Form eines PaBwortes Oder einer Nutzer- 
identitatsnummer, sowie zusatzlich eine Information 
(13*) uber die Kennzeichnungsnummer, z.B. die Serien- 
nummer, des Sonderschlussels (35) ubermittelt. Die 
letztgenannte Information (13') wird vorliegend elektro- 

35 nisch aus dem diesbezuglichen Sonderschlusselspei- 
cher (5) ausgelesen. Alternativ kann auch hier das 
Ablesen von einem aufgebrachten Auf Weber und Einge- 
ben in das Endgerat (2) vorgesehen sein. 

Die erstgenannte Information (11) wird wiederum 

40 dem Steuerwerk (23) der Zentrale (20) zugefuhrt, das 
die ubrigen beteiligten Komponenten in der Zentrale 
(20) geeignet ansteuert, wie gestrichelt (16) symboli- 
siert Die vier letztgenannten Informationen (12, 13', 
13", 14) werden der Prufeinheit (24) zur Uberprufung 

45 der Berechtigung der Datenanforderung zugefuhrt. Bei 
erfolgreicher Priifung leitetdie Prufeinheit (24) die Fahr- 
zeug-Kennzeichnungsnummer (12) der Datenbank (21) 
mit den fahrzeugbezogenen Daten und die Kennzeich- 
nungsnummer (13") des zu programmierenden Ersatz- 

so teils (33) sowie diejenige (13') des Sonderschlussels 
(35) an eine gegenuber der Einrichtung von Rg. 1 modi- 
fizierte Ersatzteil-Datenbank (22') weiter, die neben 
dem Speicher (26) fflr fahrzeugbauteil individuelle, 
geheime Codierwerte eine zusatzliche Speicherstelle 

55 (27) fur einen zwischenspeicherbauteilindividuellen 
Codierwert, d.h. hier einen Sonderschlussel-Codierwert 
beinhaltet. Je nach Verwendung eines symmetrischen 
Oder asymmetrischen Codierverfahrens sind jeweils die 
gleichen oder zugeordnete Codierwerte in einem 
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Codierwertspeicher (37) des zu programmierenden 
Ersatzteils (33) bzw. im Codierwertspeicher (7) des 
Sonderschlussels (35) durch Einspeicherung wahrend 
der Produktion des Ersatzteils (33) bzw. des Sonder- 
schlussels (35) abgelegt. 

Die Datenbank (21) fur die fahrzeugbezogenen, 
geheimen Daten liefert letztere (18) fur das zu program- 
mierende Ersatzteil (33) und fuhrt sie dem Codierer (25) 
zu. Letzterem sind auBerdem der betreffende ersatzteil- 
individuelle Codierwert (19) und der sonderschlOsselin- 
dividuelle Codierwert (28) aus der Ersatzteil-Datenbank 
(22') zugefuhrt. Der Codierer (25) codiert zunachst die 
fahrzeugspezifischen Daten (18) unter Zuhilfenahme 
des nur fur das zu programmierende Ersatzteil (33) gul- 
tigen, geheimen, ersatzteilindividuellen Codierwertes 
(19). Danach werden diese einmal codierten Daten 
erneut vom Codierer (25) nunmehr unter Zuhilfenahme 
des nur fur den ausgewahlten Sonderschlussel (35) gul- 
tigen, geheimen, sonderschlusselindividuellen Codier- 
wertes codiert und dann als doppelt codierte Daten 
(15') uber die Telefonverbindung (10) an die Service- 
stelle (1) ubertragen. Dort gelangen die Daten (15') 
zunachst uber das Programmiergerat (3) in den Son- 
derschlussel (35), der in das Programmiergerat (3) ein- 
gelegt ist. Anhand des ubertragenen Dateninhalts 
erkennt der Sonderschlussel (35), daB er nicht als 
Ersatzschlussel programmiert werden soil, sondern 
lediglich als Zwischenspeicherbauteil bzw. Datentrans- 
portmedium zu dem im Fahrzeug (30) eingebauten 
Ersatzteil (33) dienen soil. 

Die doppelt codierten, fahrzeugbezogenen Daten 
(15*) werden daraufhin im Decodierer (6) innerhalb des 
Sonderschlussels (5) mit Hilfe des geheimen Sonder- 
schlussel- Codierwertes einmal decodiert und danach 
als noch einfach mit dem geheimen, ersatzteilindividu- 
ellen Codierwert codierte, fahrzeugbezogene Daten im 
Speicher (8) zwischengespeichert. Da diese Daten 
noch immer codiert sind, bleiben sie weiterhin vor unbe- 
fugten Versuchen der Kenntnisnahme geschutzt. 
AnschlieBend wird der Sonderschlussel (35) zum Fahr- 
zeug (30) gebracht und in ein Schlussel-Schnrttstellen- 
gerat (32) desselben eingesteckt. Dieses Schlussel- 
Schnittstellengerdt (32) kann beispielsweise ein elektro- 
nischer Zundstartschalter des Fahrzeugs (30) sein, 
Ober den im Normalbetrieb die diebstahlschutzrele- 
vante Datenkommunikation zwischen Schlussel und 
Fahrzeug abiauft. 

Ein wirksamer Diebstahlschutz wird besonders 
dadurch erreicht, daB mflglichst viele betriebsrelevante 
Fahrzeugkomponenten so in die Diebstahlabsicherung 
einbezogen sind, daB die vom Schlussel abgegebenen, 
codierten Authentikationsdaten in jeder der Komponen- 
ten decodiert und verrfiziert werden und sich bei erfolg- 
reicher Authentikation jede Komponente selbst ihre 
Betriebsfreigabe erteilt. Alle diese Komponenten, die 
geheime kryptografische Daten zum Zweck des Dieb- 
stahlschutzes enthatten, sind daher an ein Kommunika- 
tionsnetz, vorzugsweise ein Datenbussystem, anges- 
chlossen. in Fig. 2 ist hierfur beispielhaft ein Datenbus- 



system (36) gezeigt, an das neben dem Schlussel- 
Schnittstellengerat (32) und das beispielhaft zu pro- 
grammierende Ersatzteil (33) weitere, mit diebstahl- 
schutzrelevanten Daten programmierbare Fahrzeug- 

5 bauteile (38, 39) angeschlossen sind. Aus dem in das 
Schnittstellengerat (32) eingesteckten Sonderschlussel 
(35) gelangen nun die noch einfach codierten Daten 
uber dieses Fahrzeug-Datenbussystem (36) in die 
betreffende Zielkomponente, hier das zuvor angege- 

10 bene Ersatzteil (33). Erst in diesem jeweiligen Ersatzteil 
(33) werden die noch einfach codierten Daten, vorzugs- 
weise innerhalb eines Ersatzteil-Microprozessors, in 
einem Decodierer (40) mit Hilfe des im Codierwertspei- 
cher (37) des Ersatzteils (33) abgelegten, geheimen 

75 Codierwertes decodiert, wodurch das Ersatzteil (33) 
innerhalb des Diebstahlschutzsystems des Fahrzeugs 
(30) funktionsfahig wird. Die uncodierten, fahrzeugbe- 
zogenen Daten werden vom Decodierer (40) in einem 
Datenspeicher (41) im Ersatzteil (33) abgelegt. 

20 Auch bei diesem erfindungsgemdBen Beispiel 
einer indirekten Program mierung eines Ersatzeils (33) 
mit den erforderlichen, fahrzeugbezogenen Daten liegt 
ein wesentlicher Vorteil darin, daB diese Daten an kei- 
ner Steile auf dem Ubertragungsweg zwischen Zentrale 

25 (20) und Ersatzteil (33) uncodiert zutage treten. Da 
auBerdem an das Programmiergerat (3) immer ein 
gleichartiges Bauteil, im speziellen Fail ein Sonder- 
schlussel (35), angeschlossen wird, genugt fur das Pro- 
grammiergerat (3) eine einzige Schnittstelle, ohne daB 

30 verschiedene Schnittstellenadapter erforderlich sind. 
Als weiterer Vorteil kann ein ohnehin vorhandenes 
Ersatzteil, vorliegend ein Ersatzschlussel (35) mit 
zusatzlicher Zwischenspeicherfunktion, zum Daten- 
transport vom Programmiergerat (3) zum Fahrzeug (30) 

35 benutzt werden. 

Die anhand der Fig. 1 und 2 beschriebene Ubertra- 
gung fahrzeugbezogener Daten von der Zentrale in ein 
Fahrzeugbauteil kann nicht nur dazu benutzt werden, 
wie beschrieben diebstahlschutzrelevante Dateninfor- 

40 mationen in das Ersatzteil einzubringen, sondern auch 
urn Sonderfunktionen in Fahrzeugbauteil en auszufOh- 
ren, wie sie nachfolgend beispielhaft fur die Einrichtung 
von Fig. 2 eriautert werden. 

Eine solche Sonderfunktion betrifft beispielsweise 

45 das Sperren oder Entsperren von Fahrzeugschlusseln. 
In einem sicheren Fahrzeugschutzsystem sollten die zu 
einem Fahrzeug gehdrigen Schlussel datenmaBig 
unterscheidbar sein, d.h. jeder Schlussel tragt neben 
einer fahrzeugspezifischen Nummer auch eine eigene, 

50 schlusselspezifische Schlusselnummer und beinhaltet 
einen speziellen, geheimen, kryptografischen Codier- 
wert, der die Codierung der Authentikationsdaten 
bewirkt. In jeder einzelnen diebstahlschutzrelevanten 
Fahrzeugkomponente (32, 33, 38, 39) ist nun im Bei- 

55 spiel von Fig. 2 ein Register (43) untergebracht, das 
anzeigt, welche SchlOssel gesperrt sind. Da die Ande- 
rung dieser Daten sicherheitskritisch ist, sind MaBnah- 
men gegen diesbezugliche Manipulationen getroffen. 
Urn ein sicheres Vorgehen zu gewahrleisten, ist dafiir 
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gesorgt, daB solche Datenanderungsbefehle nur uber 
die Zentrale (20) abgewickeft werden kOnnen. Dazu 
wird wiederum ein herkOmmliches kyptografisches Ver- 
fahren angewendet, mit dem ein von der Zentrale (20) 
abgegebener Befehl, beispielsweise zur Sperrung eines 
bestimmten Schlussels fur ein bestimmtes Fahrzeug, 
unverfaischt zu den beteiligten Fahrzeugkomponerrten 
(32, 33 t 38, 39) Obertragen wird. Hierfur geeignete, die 
Authentizitat der Nachricht sicherstellende Verschlus- 
selungsverfahren sind in den oben genannten Patent- 
SChriften DE 44 1 1 449 C1 , DE 44 1 1 450 C1 und DE 44 
1 1 451 C1 beschrieben. Die Obertragung dieser krypto- 
logisch gesicherten Befehle kann nun mit der Einrich- 
tung gemaG Fig. 2 vorteilhaft von der Zentrale (20) uber 
die Datenubertragungsstrecke in den Sonderschlussel 
(35) und von dort in eine Oder mehrere der beteiligten 
Fahrzeugkomponerrten (32, 33, 38, 39) erfolgen. 
Selbstverstandlich kOnnen auf diese Weise auBer den 
Befehlen zur Sperrung oder Entsperrung von SchlGs- 
seln auch andere Befehle gesichert von der Zentrale 
(20) zum Fahrzeug (30) Obertragen und dort ausgefuhrt 
werden. 

Eine weitere Verwendungsmoglichkeit der Einrich- 
tung von Fig. 2 betrifft ZustandsabfragemOglichkeiten 
uber die Zentrale (20). Dieser Anwendung liegt die Tat- 
sache zugrunde, daB alle relevanten Befehle von der 
Zentrale (20) ausgehen, d.h. eine jeweilige Service- 
stelle (1) ist nur dann in der Lage, einen Ersatzschlussel 
zu programmieren, ein diebstahlschutzrelevantes 
Ersatzteil zu programmieren oder einen Schlussel zu 
sperren oder zu errtsperren, wenn jeweils dementspre- 
chende Daten bei der Zentrale (20) angefordert wurden. 
Die Zentrale (20) ist daher uber den Status der Dieb- 
stahlschutzanlage jedes Fahrzeugs (30) vollstandig 
irrformiert. Bei Bedarf kann auch vorgesehen sein, daB 
die Zentrale (20) eine Quittierung bestimmter Operatio- 
nen, wie das Sperren von Schlusseln, fordert, was 
durch Obertragung codierter Daten vom Fahrzeug (30) 
zur Zentrale (20) unter Umkehrung der beschriebenen 
Obertragungsrichtung fur die fahrzeugbezogenen 
Daten erfolgen kann, und zwar wiederum unter Einsatz 
herkOmmlicher kryptologischer Verfahren, z.B. symme- 
trischer Codierverfahren. Als Transportmedium zwi- 
schen den fahrzeugseitigen Komponenten (32, 33, 38, 
39) und dem Endgerat (2) in der Servicestelle (1) wird 
wiederum der Sonderschlussel (35) eingesetzt. Das 
Obertragen der Quittierungsnachricht aus dem Sonder- 
schlussel (35) an die Zentrale (20) kann dabei entweder 
nach dem Einbau eines jeweiligen Ersatzteils (33, 38, 
39) durch nochmaliges Einlegen des Sonderschlussels 
(35) in das Programmiergerat (3) oder dadurch erfol- 
gen, daB die Quittierungsnachricht aus dem Sonder- 
schlussel (35) automatisch vor Durchfuhrung einer 
nachsten Sonderfunktion ausgelesen wird. Da somit, 
wie gesagt, die Zentrale (20) stets uber den aktuellen, 
diebstahlschutzrelevanten Zustand alter Fahrzeuge 
informiert ist, kann sie jederzeit daruber Auskunft 
geben, welche Schlussel fur ein bestimmtes Fahrzeug 
derzeit gultig sind. Dies macht es beispielsweise Fahr- 



zeugversicherern mOglich, entsprechende Informatio- 
nen nach einem Fahrzeugdiebstahl abzufragen, um 
beurteilen zu kOnnen, ob tatsdchlich alle gultigen 
Schlussel seitens des Versicherungsnehmers vorgelegt 

5 werden konnten. 

Die in den Fig. 1 und 2 dargestellten Einrichtungen 
und mit diesen durchfOhrbaren Verfahren zur codierten 
Datenubertragung von einer Zentrale (20) auf einen 
Schlussel (4) oder mittels eines als Zwischenspeicher- 

10 bauteil fungierenden ErsatzschlQssels (35) auf fahr- 
zeugseitige Komponenten (33) kOnnen so beschaffen 
sein, daB eine codierte Datenubertragung in beiden 
Richtungen moglich ist. Damit kOnnen bei Bedarf auch 
geheimzuhaltende Daten aus einem Schlussel (4) oder 

15 unter Verwendung eines als Zwischenspeicherbauteil 
fungierenden ErsatzschlQssels (35) aus einer der betei- 
ligten Fahrzeugkomponenten (32, 33, 38, 39) codiert 
und somit gesichert an die Zentrale (20) zurOckubertra- 
gen werden. Diese MOglichkeit kann, wie schon 

20 erwahnt, z.B. zur ROckmeldung eines Quittiersignals 
verwendet werden. MOglich ist damit aber auch die 
Obertragung sonstiger geheimer oder nicht geheimer 
Daten vom Schlussel (4) oder von Fahrzeugkomponen- 
ten (32, 33, 38, 39) zur Zentrale (20), wie z.B. den aktu- 

25 ellen Zustand des Diebstahlschutzsystems oder der 
aktuellen Laufstrecke (km-Stand). 

Eine weitere Anwendungsmoglichkeit des erfin- 
dungsgemaBen Veriahrens und der erfindungsgema- 
Ben Einrichtung besteht im Bereich der Fahrzeug- 

30 Vermietung mit der Anforderung, bestimmten Kunden 
fur bestimmte Fahrzeuge eine begrenzte Nutzungsbe- 
rechtigung einrdumen zu kOnnen. Dabei kann die 
Eigenschaft, daB der Schlussel (4 bzw. 35) eine Kenn- 
zeichnungsnummer (13, 13 1 ) beinhaltet und diese als 

35 Identitatsnachweis an die Zentrale (20) abgibt, als Iden- 
titatsnachweis fur den Kunden verwendet werden, 
indem man jedem Kunden einen Schlussel fest zuord- 
net. Diesem Kunden kOnnen dann mittels der in Fig. 1 
und 2 gezeigten Einrichtungen und mit der beschriebe- 

40 nen Vorgehensweise auf gesichertem Weg Nutzungs- 
berechtigungsdaten fur jeweils ein bestimmtes, vom 
Kunden gewOnschtes Fahrzeug von der Zentrale (20) in 
seinen Schlussel (4) Obertragen werden. Dabei kann es 
sich um Nutzungsberechtigungsdaten handeln, die dem 

45 Kunden nur eine begrenzte Mobilitat mit dem 
gewOnschten Fahrzeug einraumen. Diese Mobilitatsbe- 
grenzung kann beispielsweise dadurch realisiert wer- 
den, daB die von der Zentrale (20) ubertragenen 
Nutzungsberechtigungsdaten so gewahlt sind, daB der 

so Schlussel (4) nur fur eine bestimmte Anzahl von Betati- 
gungen, z.B. Motorstarts, das Diebstahlschutzsystem 
des Fahrzeugs entriegeln bzw. freischalten kann. Des 
weiteren ist es denkbar, die in Fig. 1 und 2 gezeigten 
fahrzeugseitigen Einrichtungen auf herkOmmliche Art 

55 so zu erweitern, daB damit z.B. eine zeitliche, eine geo- 
grafische oder eine entfernungsmaBige Begrenzung 
der Mobilitat mOglich ist Die hierzu erforderlichen, indi- 
viduell von der Zentrale (20) vorgebbaren Grenzwerte 
werden ebenfalls mit der zu Fig. 2 beschriebenen Vor- 
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gehensweise auf gesichertem Weg in den Schlussel 
(35) und bei dessen erster Betatigung im Fahrzeug (30) 
auf die fahrzeugseitigen Komponenten (32, 33, 38, 39) 
ubertragen. 

Bei der letztgenannten Anwendung erfolgen 
zwangsiaufig sehr hSufig Datenkommunikationen mit 
der Zentrale (20). Bei Bedarf kann folglich vorgesehen 
werden, Datensatze fur bestimrrrte Fahrzeuggruppen 
aus der eigentlichen Zentrale (20), die sich vorteilhafter- 
weise beim Fahrzeughersteller befindet, in eine lokale 
Zentrale auszulagern, die sich bei einer Autovermietsta- 
tion Oder einem Leasingunternehmen befindet. Daten- 
satze fur Fahrzeuge, die von diesen Stellen zu einem 
spateren Zeitpunkt weiterverkauft werden, kOnnendann 
wieder in die eigentliche Zentrale (20) zuruckverlagert 
werden. 

In den Fig. 3 bis 6 sind verschiedene Systeme 
beschrieben, bei denen eine Mobil itdtsbegrenzung fur 
ein Fahrzeug dadurch vorgesehen ist, daB die Daten- 
satze, die von einer jeweiiigen Zentrale in einen Fahr- 
zeugschlussel entsprechend einer der oben besch- 
riebenen Vorgehensweisen hoch manipulationsge- 
schutzt einprogrammiert werden, nur jeweils eine 
begrenzte, vorgebbare Anzahl von Nutzungsberechti- 
gungsfreigabeaktionen durch den Fahrzeugschlussel, 
d.h. Betatigungen zur Bedienung einer Zentralverriege- 
lungsanlage und/oder einer elektronischen Wegfahr- 
sperreinrichtung, zulassen. Dazuwird diesen Systemen 
ein Nutzungsberechtigungsfreigabeverfahren zugrun- 
degelegt, bei welchem eine jeweilige Nutzungsberechti- 
gung durch einen Nutzungsberechtigungscode 
freigegeben wird, wobei fur jede Freigabeaktion ein 
neuer Code verwendet wird, der einerseits im betreffen- 
den FahrzeugschlOssel und synch ron dazu im ange- 
steuerten Fahrzeugsteuergerat zu hinterlegen oder zu 
generieren ist. Die Mobilitatsbegrenzung wird nun 
dadurch realisiert, daB die Zentrale als Teil der in den 
jeweiiigen Fahrzeugschlussel einzuprogrammierenden 
Daten nur eine vorgegebene Anzahl aufeinanderfolgen- 
der Nutzungsberechtigungscodes bzw. eine Information 
zur Berechnung nur dieser begrenzten Anzahl von Nut- 
zungsberechtigungscodes Qbermittert. Damit ist das 
Fahrzeug mit diesem Schlussel nur begrenzt, z.B. fur 
eine bestimrrrte Nutzungsdauer, betreibbar, sofern 
keine Auffrischung des Schlussels mit einem neuen 
Satz von Nutzungsberechtigungscodes erfolgt. Auf der 
Grundlage dieser Eigenschaften lassen sich die nach- 
folgend beschriebenen Fahrzeugsysteme realisieren, 
wie Fahrzeugvermietsysteme mit hohem Unterschla- 
gungsschutz oder Privatfahrzeuge mit hohem Fremd- 
nutzungsschutz. 

Fig. 3 zeigt ein vorteilhaftes System zur Fahrzeug- 
kurzzeitvermietung. Bei diesem System schlieBt der 
Kunde in einem einmaligen Verwaltungsvorgang einen 
Nutzungvertrag mit dem Vermieter und erhait eine per- 
sOnliche Kundennummer und einen elektronischen 
Fahrzeugschlussel (50) ausgehandigt. Zu einem 
gewunschten Zeitpunkt kann dann der Kunde uber eine 
Telefonverbindung (51) bei einer Disposrtionszentrale 



(52) des Vermieters ein Mietfahrzeug anfordern, das 
sich zum gewunschten Zeitpunkt an einem gewunsch- 
ten Ort in seiner unmittelbaren Nahe befindet. Ein Dis- 
positionsrechner (52a) ubermittelt dann die Fahrz- 

s eugkennung und eine gewunschte Anzahl von Nut- 
zungsberechtigungscodes an ein angeschlossenes 
Schlusselverwartungsmodul (52b), in welchem die Nut- 
zungsberechtigungscodes der Fahrzeugf lotte des Auto- 
vermieters hinterlegt sind. Das Schlusselver- 

10 waltungsmodul (52b) ist als zugangssichere Einheit, 
z.B. als Krypto-Box in Form einer Rechner-Steckkarte 
bzw. eines PCMCIA-Moduls, ausgefuhrt und enthait 
direkt die Nutzungsberechtigungscodes oder einen 
Berechnungsalgorithmus hierfur fur alle elektronischen 

15 Schlussel jedes der Fahrzeuge der Vermietflotte. Es 
reserviert nun aus dieser Codemenge die gewunschte, 
begrenzte Anzahl von Nutzungsberechtigungscodes fur 
die betreffende Kundenanforderung und ubergibt diese 
dem Dispositionsrechner (52a). Dieser ubermittelt 

20 rechtzeitig vor dem fur die Fahrzeugubernahme geplan- 
ten Zeitpunkt die Kundennummer und die begrenzte 
Anzahl der Nutzungsberechtigungscodes sowie gege- 
benenfalls weitere Auftragsdaten, wie z.B. die Reservie- 
rungsdauer, an ein nachrustbares Telematikmodul (53). 

25 Die Datenubertragung erfolgt auf eine der zu den Fig. 1 
und 2 oben beschriebenen Weisen manipulationsge- 
schutzt uber eine zugeh&rige, drahtlose Datenubertra- 
gungsstrecke (54). Das Telematikmodul (53) fungiert 
dabei als Servicestelle mit Programmiergerat im Sinne 

30 der Einrichtung der Fig. 1 und 2, wobei es weitere, in 
Fig. 3 gezeigte Funktionalitaten umfaGt, auf die hier 
nicht naher eingegangen zu werden braucht. 

Der Kunde sucht dann im vereinbarten Zeitraum 
den ihm bekannten Fahrzeugort auf und bringt seinen 

35 bislang noch nicht fahrberechtigenden Schlussel (50) 
an eine mit dem Telematikmodul (53) verbundene 
Schnittstelle (55) zur Ubertragung von Daten zwischen 
dem Schlussel (50) und dem Telematikmodul (53) uber 
eine drahtlose Ubertragungsstecke (56), z.B. eine Infra- 

40 rot-, Funk- oder Induktiv-Gbertragungsstrecke. Die 
Schnittstelle (55) kann beispielsweise eine an einem 
zugehCrigen Fenster angeordnete Infrarot-Schnittstelle 
sein. Der Fahrzeugschlussel (50) identifiziert sich wdh- 
rend dieser Datenubertragung durch Ubergabe der 

45 Kundennummer gegenuber dem Telematikmodul (53) 
und wird dann von diesem in dessen Funktion als 
Schlusselprogrammiereinheit mit dem von der Zentrale 
(52) empfangenen Datensatz geladen. Zeitgleich kann 
es uber einen Drucker (53a) ein Mietvertragsexemplar 

so mit Kundendaten, Angaben zur Nutzungsdauer und 
Fahrzeugdaten ausgeben. Der Kunde kann anschlie- 
3end fur die Zeit der Nutzung den Fahrzeugschlussel 
(50) in ublicher Weise verwenden. Zum Starten des 
Fahrzeugmotors beinhaltet der Schlussel (50) einen 

55 mechanischen Schlusselteil (50a), der in ein Gruppen- 
zundschloB (57) eingesteckt werden kann, Qberdas alle 
Fahrzeuge der Vermietflotte verfugen. 

Urn der Zentrale (52) das Ende einer Fahrzeugnut- 
zung bekanntzugeben, bringt der Kunde nach Ruckkehr 
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zu einer Haltestelle und nach AbschlieBen des Fahr- 
2eugs seinen Schlussel (50) wiederum an die Schnitt- 
stelle (55). Dies wird vom Telematikmodul (53) erkannt, 
das daraufhin den ersten nicht benutzten Nutzungsbe- 
rechtigungscode aus dem Schlussel (50) liest und der 5 
Dispositionszentrale (52) zwecks Speicherung ubermit- 
tett. Dieser Codewert kann dann als erster Codewert fur 
einen nachfolgenden Kunden verwendet werden. Des 
werteren wird zur Entwertung des benutzten Schlussels 
(50) ein Loschsignal an diesen ubermittelt. Nach Pro- w 
fung des Codespeicherzustands im Schlussel (50) wird 
dem Kunden durch eine optische Anzeige am Telema- 
tikmodul (53) der ordnungsgemaBe AbschluB des Ver- 
mietvorgangs zwecks Rechnungsstellung und Anschl- 
uf3disposition signalisiert. Der Kundenschlussel (50) ist 15 
jetzt sowohl fur das zuletzt genutzte als auch fur alie 
ubrigen Fahrzeuge unbrauchbar. 

Wenn der Schlussel vor AbschluB eines Vermiet- 
vorgangs verloren gent, ist die Zentrale (52) in der Lage, 
durch Vergabe einer neuen Nutzungsberechtigungs- 20 
code-Stutzstelle an einen Schlussel ihres Wartungs- 
dienstes das Fahrzeug abzuholen und den verlorenen 
Schlussel unbrauchbar zu machen. Falls das Fahrzeug 
liber ein Ortungssystem verfugt, wie einen in Fig. 3 
gestrichelt angedeuteten GPS-Empfanger im dortigen 25 
Telematikmodul (53), so kOnnen die Fahrzeugpositions- 
daten jeweils von diesem Ortungssystem an die Zen- 
trale (52) ubermittelt werden. Dies laBt sich zur 
Realisierung eines offenen Vermietbetriebes verwen- 
den, bei dem es nicht notwendig ist, das genutzte Fahr- 30 
zeug an einer Haltestelle abzugeben. Vielmehr kann 
das Fahrzeug an einem beliebigen Ort stehengelassen 
und von dort weitervermietet Oder an einen anderen Ort 
uberfuhrt werden. Durch die Fernubertragung der 
begrenzten Fahrberechtigung sind die Autovermietfilia- 35 
len vCllig unabhangig von Personal und bestehen z.B. 
nur noch aus einer Haltestelle Oder einem Abstellplatz, 
wahrend die Ubergabe der Fahrberechtigung ebenso 
wie die Fahrzeugdisposition und die Abrechnung mit 
dem Kunden von einer einzigen Vermietzentrale (52) 40 
vorgenommen werden kann. 

In Fig. 4 ist ein demjenigen von Fig. 3 verwandtes 
Vermietsystem dargestelrt, wobei fur funktionell gleiche 
Komponenten dieselben Bezugszeichen verwendet 
sind und insoweit auf die Beschreibung von Fig. 3 ver- 45 
wiesen werden kann. Im Unterschied zum System von 
Fig. 3 beinhaltet das Vermietsystem von Fig. 4 ortsfest 
aufgestellte Haltestellenautomaten (58) mit Schlussel- 
programmiereinheiten (58a), die hinsichtlich der 
Schlusselprogrammierung die Funktion des beim so 
System nach Fig. 3 fahrzeugseitig untergebrachten 
Telematikmoduls (53) ausuben. Unter anderem beinhal- 
tet die SchlQsselprogrammiereinheit (58a) des jeweili- 
gen Haltestellenautomaten (58) eine Schnittstelle (58b) 
zur drahtlosen, manipulationsgeschutzten Kommunika- 55 
tion mit dem jeweiligen Fahrzeugschlussel (50) sowie 
eine Sende- und Empfangseinheit (58c) zur drahtlosen, 
manipulationsgeschutzten Kommunikation mit der Ver- 
mietzentrale (52). Der Kunde ladt folglich bei diesem 



System seinen Fahrzeugschlussel (50) jeweils an dem- 
jenigen Haltestellenautomat (58) mit der gewunschten 
Anzahl von Nutzungsberechtigungscodes, der sich an 
der Haltestelle befindet, an der er das Fahrzeug in 
Gebrauch nimmt, wozu dem Haltestellenautomat (58) 
die entsprechenden Daten zuvor von der Vermietzen- 
trale (52) auf telefonische Mietanforderung durch den 
Kunden hin Gbermittelt werden. Im ubrigen ergeben 
sich fur dieses Vermietsystem die zum System von Fig. 
3 genannten Eigenschaften und Vorteile. 

In Fig. 5 ist ein Fahrzeugvermietsystem gezeigt, bei 
dem der Fahrzeugvermieter in herkemmlicher Weise 
ein Fahrzeug samt Schlussel an einer Mietstation (60) 
dem Kunden ubergibt. Er Qberreicht dem Kunden 
jedoch nicht wie ublich einen Schlussel mit unbegrenz- 
ter Nutzungsberechtigung fur das Fahrzeug, sondern, 
entsprechend der Systeme der Fig. 3 und 4, einen Fahr- 
zeugschlussel (61) mit begrenzter Nutzungsberechti- 
gung. Dazu verfugt die Mietstation uber eine 
Schlusselprogrammiereinheit in Form eines Schreib- 
/Lesegerates (61), das an einen Rechner (62) mit zuge- 
ordnetem Schlusselverwaltungsmodul (63) angeschlos- 
sen ist. In Abhdngigkeit von der geplanten 
Fahrzeugnutzungsdauer wird mit dem Schreib-/Lesege- 
rat (61) eine begrenzte Anzahl von Nutzungsberechti- 
gungscodes, wie zu den Systemen der Fig. 3 und 4 
beschrieben, auf einen noch nicht fahrberechtigenden 
Fahrzeugschlussel (61) geschrieben, d.h. in diesen 
codegeschOtzt gemaB der Vorgehensweise der Fig. 1 
und 2 uber eine zugehorige Datenubertragungsstrecke 
(64) einprogrammiert. Dieser Schlussel (61) wird dann 
dem Kunden zur begrenzten Fahrzeugnutzung zusam- 
men mit dem Fahrzeug ausgehandigt. Ist die begrenzte 
Anzahl von Nutzungsberechtigungscodes aufge- 
braucht, so ist der Schlussel (61) wertlos, d.h. es kann 
mit ihm weder die Zentralverriegelung, noch die Weg- 
fahrsperre des Fahrzeugs betatigt werden. Da dies den 
Mietkunden bekannt ist, ist zu erwarten, dafB diese von 
jeglichem Unterschlagungsversuch absehen. 

Fig. 6 zeigt ein fur Privatfahrzeuge geeignetes 
System mit hohem Diebstahlschutz dadurch, daB der 
oder die fur das Fahrzeug verwendbaren Fahrzeug- 
schlussel (65) entsprechend den zuvor beschriebenen 
Systemen nur mit einer begrenzten Anzahl von Nut- 
zungsberechtigungscodes geladen werden. Eine zuge- 
horige Zentrale (66), die sich z.B. beim 
Fahrzeughersteller bef inden kann und uber einen Rech- 
ner (66a) mit angeschlossenem Schlusselverwaltungs- 
modul (66b) verfugt, vergibt f Or jedes betreute Fahrzeug 
bedarfsorientiert eine begrenzte Anzahl von aufeinan- 
derfolgenden Nutzungsberechtigungscodes, die drahi- 
los, z.B. uber eine GSM-Datenfernubertragungsstrecke 
(67), an ein fahrzeugsertiges, nachrOstbares Telematik- 
modul (68) ahnlich demjenigen (53) in Fig. 3 ubertragen 
werden. Das unter anderem als Schlusselprogrammier- 
einheit fungierende Telematikmodul (68) ladt die zuge- 
horigen Daten uber ein Fahrzeugdatenbussystem (69) 
und ein SchlieBanlagen-Sternergerat (70) in den pro- 
grammierbaren elektronischen Fahrzeugschlussel (65). 
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Das SchlieBanlagen-Steuergerat (70) ist in diesem Bei- 
spiel so ausgelegt, daB es die vom jeweiligen Schlussel 
(65) zwecks Nutzungsberechtigungsfreigabe des Fahr- 
zeugs ausgel&sten Freigabeaktionen, d.h. die Anzahl 
der vom Schlussel (65) abgesendeten Nutzungsbe- 5 
rechtigungscodes, zahrt und bei Uberschreiten einer 
festlegbaren Schwelle ein Signal an das Telematikmo- 
dul (68) sendet, durch welches letzteres veranlaBt wird, 
bei der Zentrale (66) einen weiteren, nachfolgenden 
Satz von Nutzungsberechtigungscodes anzufordern. w 
Dieser Vorgang erfolgt automatisiert und jeweils recht- 
zeitig vor dem vollstandigen Verbrauch der momentan 
im Schlussel (65) einprogrammierten Nutzungsberech- 
tigrnngscodes, ohne daB der Kunde davon Notiz nimmt. 

Liegt der Zentrale (66) eine Meldung uber einen is 
unberechtigten Gebrauch des zugehOrigen Fahrzeugs 
vor, so sendet es den angeforderten Datensatz nicht 
mehr ab, was die Folge hat, daB nach Verbrauch der 
dann noch im Schlussel (65) vorhandenen Nutzungsbe- 
rechtigungscodes die elektronische Wegfahrspenre 20 
nicht mehr betatigt, insbesondere nicht mehr entsperrt 
werden kann. Dieselbe Wirkung tritt ein, wenn unbe- 
rechtigerweise am Fahrzeug und dessen Kommunikati- 
onseinrichtungen so manipuliert wird, daB keine 
ordnungsgemaBe Verbindung zwischen Fahrzeug und 25 
Zentrale (66) mehr zustande kommt, so daB dann auch 
keine Nutzungsberechtigungscodes mehr ubermittelt 
werden kOnnen. Nur wenn keine derartigen Sperrmel- 
dungen vorliegen, gibt die Zentrale (66) einen weiteren 
Satz von Nutzungsberechtigungscodes verschlusselt so 
an das Telematikmodul (68) ab, das diese Daten an das 
SchlieBanlagen-Steuergerat (70) weitergibt, welches 
sie uber seine Infrarot- oder Induktivschnittstelle auf 
den Schlussel (65) ubertragt, in welchem sie dann ent- 
schlussert und hinterlegt werden, urn weitere Nutzungs- 35 
berechtigungsfreigabeaktionen zu ermOglichen. In 
einer Variante erfolgt das Zahlen der verbrauchten Nut- 
zungsberechtigungscodes und das Dbermitteln eines 
entsprechenden Signals zur Ubermittlung eines weite- 
ren Satzen von Nutzungsberechtigungscodes durch 40 
den entsprechend ausgelegten Fahrzeugschlussel 
selbst und nicht durch das SchlieBanlagen-Steuergerat. 
Es ist zu erwarten, daB nach Bekanntwerden derartiger 
Privatfahrzeugsysteme mit begrenzter Sen I Ossein ut- 
zungsdauer die Gefahr von Versuchen, das Fahrzeug 45 
samt Schlussel unberechtigterweise zu entwenden, 
deutiich sinkt. 

Patentanspruche 

50 

1. Verfahren zur Einprogrammierung von Daten in ein 
jeweiliges Fahrzeugbauteil (4, 33), insbesondere 
ein Fahrzeugersatzteil, bei dem 

- die Daten (18) bei einer Zentrale (20) anzufor- 55 
dern sind, welche die Daten an die anfor- 
dernde Stelle (1) absendet, 

dadurch gekennzeichnet, daB 



- die Daten (18) von der Zentrale (20) wenig- 
stens mit einem individuellen, fahrzeugbauteil - 
bezogenen Code codiert abgesendet werden 
und 

- die Decodierung der von der anfordernden 
Stelle empfangenen, mit dem fahrzeugbauteil - 
bezogenen Code codierten Daten (15) erst im 
Fahrzeugbauteil (4, 33) selbst erfolgt. 

2. Verfahren nach Anspruch 1 , weiter 
dadurch gekennzeichnet, daB 

zur Anforderung der Daten bei der Zentrale 
(20) wenigstens Informationen uber die Identi- 
ty des Fahrzeugs, uber die Identitat des zu 
programmierenden Fahrzeugbauteil s und uber 
die Identitat des anfordernden Systemnutzers 
an die Zentrale zu ubermitteln sind und 

- die Anforderungsinformationen von der Zen- 
trale vor dem Codieren und Absenden der 
angeforderten Daten auf Berechtigung gepruft 
werden. 

3. Verfahren nach Anspruch 1 oder 2, weiter 
dadurch gekennzeichnet, daB 

die von der Zentrale (20) abgesendeten, codierten 
Daten (15) von einem bei der anfordernden Stelle 
(1) vorhandenen Programmiergerat (3) in das 
hierzu an das Programmiergerat angeschlossene, 
zu programmierende Fahrzeugbauteil (4) einge- 
speist werden. 

4. Verfahren nach Anspruch 1 oder 2, weiter 
dadurch gekennzeichnet, daB 

- die mit dem fahrzeugbauteiibezogenen Code 
codierten Daten vor dem Absenden von der 
Zentrale (20) zusatzlich mit einem zwischen - 
speicherbauteilbezogenen Code codiert wer- 
den, 

- die doppelt codierten Daten (15} nach Emp- 
fang durch die anfordernde Stelle (1) zunachst 
von einem bei dieser vorhandenen Program- 
miergerat (3) in ein an dieses angeschlossenes 
Zwischenspeicherbauteil (35) eingespeist und 
in letzterem bezuglich des zwischenspeicher- 
bauteilbezogenen Codes decodiert und als 
noch mit dem fahrzeugbauteiibezogenen Code 
codierte Daten zwischengespeichert werden, 
und 

- die noch mit dem fahrzeugbauteiibezogenen 
Code codierten Daten nach AnschluB des Zwi- 
schenspeicherbauteils an ein fahrzeugseitiges 
Date nub ertragungssystem (32, 36), an wel- 
ches das zu programmierende Fahrzeugbau- 
teil (33) angeschlossen ist, aus dem 
Zwischenspeicherbauteil ausgelesen und uber 
das fahrzeugseitige Datenubertragungssystem 
in das zu programmierende Fahrzeugbauteil 
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eingespeist und dort vollends decodiert wer- 
den. 

5. Verfahren nach einem der Anspruche 2 bis 4, weiter 
dadurch gekennzeichnet, daG 5 

- die zur Anforderung der einzuprogrammieren- 

den Daten (18) an die Zentrale (20) zu ubermit- 9. 
telnden Anforderungsdaten eine Kennnummer- 
information (13, 13) eines anfordernden Fahr- w 
zeugschlussels (4) oder Zwischenspeicher- 
bauteils (35) beinhalten, und 

- die von der Zentrale (20) abgesendeten Daten 
(18) eine Mobilitatsbegrenzungsinformation 

zur lediglich beschrankten Nutzungsberechti- is 
gungsfreigabe enthalten. 

6. Verfahren nach Anspruch 5, weiter 
dadurch gekennzeichnet, daft 

die von der Zentrale (52) auf eine jeweiligen Anfor- 20 
derung hin abgesendeten, in einen Fahrzeug- 
schlussel (50) einzuprogrammierenden Daten nur 
eine vorgebbare Anzahl von Nutzungsberechti- 
gungsfreigabeaktionen durch den Fahrzeugschlus- 
sel zulassen. 25 

7. Verfahren nach Anspruch 6, weiter 
dadurch gekennzeichnet, daft 

fahrzeugseitig die Anzahl stattgefundener Nutz- 
ungsberechtigungsfreigabeaktionen erfaBt und vor 30 
Erreichen der Anzahl der von den im Fahrzeug- 
schlussel (65) einprogrammierten Daten zugelas- 
senen Nutzungsberechtigungsfreigabeaktionen 
eine Anforderungsinformation zur Zentrale (66) 
gesendet wird, die daraufhin nur bei Nichtvorliegen 35 
einer Sperrmeldung erneut Daten zur Einprogram- 
mierung in den Fahrzeugschlussel ubermittelt, wel- 
che eine vorgebbare Anzahl weiterer Nutzun- 
gsberechtigungsfreigabeaktionen zulassen. 

40 

8. Einrichtung zur Einprogrammierung von Daten in 
ein jeweiliges Fahrzeugbauteil (4), insbesondere 
ein Fahrzeugersatzteil, 

gekennzeichnet durch 

folgende Elemente zur Durchfuhrung des Verfah- 45 
rens nach einem der Anspruche 1 bis 7: 

- eine Zentrale (20) mit Speichern (21, 22) fur 
fahrzeugbezogene Daten (18) und fur fahr- 1 
zeugbauteilbezogene Codedaten (19) sowie 50 
mit einem Codierer (25) zur Codierung der in 

ein jeweiliges Fahrzeugbauteil (4) einzupro- 
grammierenden Daten (18), 
eine Oder mehrere Servicestellen (1), die uber 
eine Datenubertragungsstrecke (10) mit der 55 
Zentrale in Verbindung stehen und jeweils ein 
Programmiergerat (3) beinhalten, an welches 
das zu programmierende Fahrzeugbauteil (4) 
zur Einspeisung der empfangenen Daten (15) 



anschlieBbar ist, wobei 

- das mit den Daten zu programmierende Fahr- 
zeugbauteil (4) einen Decodierer (6) zur Deco- 
dierung der eingespeisten, mit dem fahrzeug- 
bauteilbezogenen Code codierten Daten 
beinhaltet 

Einrichtung zur Einprogrammierung von Daten in 
ein jeweiliges Fahrzeugbauteil, insbesondere ein 
Fahrzeugersatzteil, 
gekennzeichnet durch 

folgende Elemente zur Durchfuhrung des Verfah- 
rens nach einem der Anspruche der 1 bis 7: 

- eine Zentrale (20) mit Speichern (21, 22*) fur 
fahrzeugbezogene Daten (18), fur zwischen- 
speicherbauteilbezogene Codedaten (28) und 
fur fahrzeugbauteilbezogene Codedaten (19) 
sowie mit einem Codierer (25) zur sukzessiven 
Codierung der in ein jeweiliges Fahrzeugbau- 
teil (33) einzuprogrammierenden Daten (18) 
zuerst mit dem jeweiligen fahrzeugbauteilbezo- 
genen Code und dann mit dem zwischenspei- 
cherbauteilbezogenen Code und 

- eine Oder mehrere Servicestellen (1), die uber 
eine Datenubertragungsstrecke (10) mit der 
Zentrale in Verbindung stehen und ein Pro- 
grammiergerat (3) beinhalten, an welches ein 
Zwischenspeicherbauteil (35) zur ZufQhrung 
der empfangenen Daten (15 1 ) anschlieBbar ist, 
wobei 

- das Zwischenspeicherbauteil (35) einen Deco- 
dierer (6) zur Decodierung der zugefuhrten, 
doppelt codierten Daten hinsichtlich des zwi- 
schenspeicherbauteilbezogenen Codes auf- 
weist und die dann noch mit dem 
fahrzeugbauteilbezogenen Code codierten 
Daten zwischenspeichert und nach AnschluB 
an ein fahrzeugseitiges DatenObertragungssy- 
stem (36), an welches das mit den Daten zu 
programmierende Fahrzeugbauteil (33) ange- 
schlossen ist, in letzteres einspeist und wobei 

- das mit den Daten zu programmierende Fahr- 
zeugbauteil einen Decodierer (40) zur Deco- 
dierung der eingespeisten, mit dem 
fahrzeugbauteilbezogenen Code codierten 
Daten beinhaltet. 

I. Einrichtung nach Anspruch 8 Oder 9, weiter 
dadurch gekennzeichnet, daB 
die Zentrale (20) eine Anforderungsberechtigungs- 
Prufeinheit (24) beinhaltet, welche die zur Anforde- 
rung von fahrzeugbezogenen Daten (18) fur das 
jeweilige Fahrzeugbauteil (4) von einer Service- 
stelle (1) der Zentrale anzugebenden Informationen 
(12, 13, 14) hinsichtlich des betreffenden Fahr- 
zeugs, des jeweiligen Fahrzeugbauteils sowie des 
Systemnutzers auf Berechtigung pruft. 
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11. Einrichtung nach einem der Anspruche 8 bis 10, 
wetter 

dadurch gekennzeichnet, daB 
die Zentrale einen Rechner mit angeschlossenem 
Schlusselverwaltungsmodul zur Abspeicherung 5 
und Ubermittlung von jeweils einer begrenzten 
Anzahl aufeinanderfolgender Nutzungsberechti- 
gungscodes zwecks Einprogrammierung in einen 
Fahrzeugschlussel umfaGt, wobei als Servicestelle 
eine Schlusselprogrammiereinheit (53, 58a, 61) 70 
dient, die sich im Fahrzeug, in einem jeweiiigen 
Haltesteilenautomat (58) Oder in der Zentrale befin- 
det. 

12. Einrichtung nach Anspruch 1 1 , wetter 15 
dadurch gekennzeichnet, daO 

vom Schlussel selbst Oder einer fahrzeugseitigen 
Einheit (70) die Anzahl der von einem jeweiiigen 
Fahrzeugschlussel (65) ausgelOsten Nutzungsbe- 
rechtigungsfreigabeaktionen erfaGt und vor Errei- 20 
chen der zuvor in den Schlussel einprogrammierten 
Anzahl von aufeinanderfolgend zu sendenden Nut- 
zungsberechtigungscodes ein Anforderungssignal 
an die Zentrale (66) zur Ubermittlung eines weite- 
ren Satzes aufeinanderfolgender Nutzungsberech- 25 
tigungscodes zwecks Einprogrammierung in den 
Schlussel gesendet wird, wobei die Zentrale (66) 
einen entsprechenden Obermittlungsvorgang an 
das Nichtvorliegen einer zugehOrigen Sperrmel- 
dung koppelt. 30 
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(54) Verfahren und Einrichtung zur Einprogrammierung von Betriebsdaten in Fahrzeugbauteile 

(57) Die Erfindung bezieht sich auf ein Verfahren 
und eine Einrichtung, mit der Daten in ein Fahrzeugbau- 
teil einprogrammiert werden kflnnen. 

Es wird vorgeschlagen, die Daten bei einer Zen- 
trale (20) verfugbar zu halten, welche sie auf Anforde- 
rung mit einem fahrzeugbauteilspezifischen Code 
codiert und an die anfordernde Stelle absendet, und die 
Decodierung erst im Fahrzeugbauteil (33) selbst vorzu- 
nehmen. Damit wird ein hoher Schutz wfihrend der 
Ubertragungder in das Bauteil einzuprogrammierenden 
Daten vor unberechtigten Versuchen, in Kenntnis dieser 
Daten zu gelangen, gewahrleistet. Zur Verfahrens- 
durchfuhrung geeignete Einrichtungen beinhalten eine 
direkte AnschluRmOglichkeit des jeweiligen Fahrzeug- 
bauteils an ein Programmiergerat (3) bei der arrfordern- 
den Stelle zwecks direkter Programmierung oder 
arternativ die Zwischenschaltung eines Zwischenspei- 
cherbauteils (35). Damit ist z.B. eine mobilitatsbegren- 
zende Schlusselprogrammierung hoch manipulations- 
geschOtzt realisierbar. 

Verwendung bei Fahrzeugen mit einem Diebstahl- 
schutzsystem und fur Fahrzeugvermietsysteme. 
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